Entraînement Hijackthis

Question

Je commence à connaître un peu le logiciel Hijackthis mais pas encore suffisament pour aider les personnes en besoin.

Je pense que beaucoup de personnes sont dans mon cas alors je propose de lancer ce topic de façon à s'entraîner à résoudre des problèmes concrets.

Le principe : un "maître" vient poster un log hijackthis qu'il a déjà résolu en présentant les symptômes de l'infection et les novices comme moi proposent des solutions qui seront validées ou corrigées par le "maître" en essayant de donner des explications.

J'espère que ça marchera.

Vive l'entraide !!!

Utilisateur anonyme · Answer

Salut

Je te conseille de venir faire ça ici l'endroit sera plus approprié qu'ici
http://lyonnais92.aceboard.fr/

Tu trouveras ton bonheur et des outils pour te perfectionner ;-)

Furtif · Answer

Sinon, je trouvais ça sympa comme suggestion.

Pour une fois que ça ne demandait pas de repeindre CCM en rouge avec des animations partout.

Xzr · Answer

Merci pour l'adresse c'est génial :')

Regis59 · Answer

Salut Boulepate, salut Furtif, salut Xzr, Salut Syria,

Cette idée peut néanmoins être developpé ici sans problèmes.
Nous renverrons systematiquement, au besoin, des aides, des tutos, des outils vers http://lyonnais92.aceboard.fr/ mais l'apprentissage ou des conseils peuvent être donné ici.

Personnellement, je suis pour.

Par contre, au moins soucis, je ne continuerais pas le poste. J'ai deja crée une fois un style de topic et cela a mal terminé, donc...
Tant que tout reste calme, instructif et que ce n'est pas la pagaille, nous pouvons le faire.

On va commencer larges par des questions qui vous viennent à l'esprit?

Note: Bien sur, tous les helpers sont les bienvenus !! :P

green day · Answer

Souvenir ! Souvenir ! ;-)

Regis59 · Answer

Ouep ! Content de te voir Green day.

A+

Utilisateur anonyme · Answer

Salut Regis

"Nous renverrons systematiquement, au besoin, des aides, des tutos, des outils vers http://lyonnais92.aceboard.fr/ mais l'apprentissage ou des conseils peuvent être donné ici."

- Oui, mais si tu veux renvoyer vers "LE GRAND LIVRE" et tous les sous forums faut être inscrit donc ..


"Par contre, au moins soucis, je ne continuerais pas le poste. J'ai deja crée une fois un style de topic et cela a mal terminé, donc..."

- Pour ça aussi que j'ai donné l'adresse ;-)


Voilà bon travail =)

Syria · Answer

lulut régis et tous
merci

Regis59 · Answer

Coucou Syria, Merci Boulepate.

Bon ben, on a plus qu a attendre les clients.

Surtout n'hésitez pas, ne soyez pas intimidé.

a+

compaq presario · Answer

Il manque plus que moe et baltrap34 pour nous remémorer le bon vieux temps !

Utilisateur anonyme · Answer

et l'entraide .. (^-^)'

compaq presario · Answer

Coucou boulepate62

Mais l'entraide c'est tout naturel ! -:)

Regis59 · Answer

Salut compaq presario;

Ouep mais bon, le temps passe et le passé demeure le passé.

Bonne journée à tous.

!aur3n7 · Answer

Salut,

Moi aussi je viens pour apprendre... Mais j'ai pas trouvé la porte ou plutôt j'ose pas l'ouvrir

Regis59 · Answer

Bonjour à tous,

Voici le problème:

Une icone près de l'horloge m'indiquant que je suis infecté.

Voici mon HJT:

Logfile of HijackThis v1.99.1
Scan saved at 13:50:40, on 26/12/2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\System32\FTRTSVC.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Video ActiveX Object\isamonitor.exe
C:\Program Files\Video ActiveX Object\pmsngr.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\WINDOWS\system32\hphmon05.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
C:\Program Files\Adobe\3.0\Apps\apdproxy.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\QuickTime\qttask.exe
C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\Wanadoo\TaskBarIcon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe
C:\Program Files\Microsoft Office\Office\1036\OLFSNT40.EXE
C:\Program Files\Video ActiveX Object\pmmon.exe
C:\Program Files\Video ActiveX Object\isamini.exe
C:\PROGRA~1\Wanadoo\EspaceWanadoo.exe
C:\PROGRA~1\Wanadoo\ComComp.exe
C:\PROGRA~1\Wanadoo\Toaster.exe
C:\PROGRA~1\Wanadoo\Inactivity.exe
C:\PROGRA~1\Wanadoo\PollingModule.exe
C:\WINDOWS\System32\ALERTM~1\ALERTM~1.EXE
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\PROGRA~1\Wanadoo\Watch.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Regis59\Mes documents\WinRAR.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Regis59\Mes documents\WinRAR.exe
C:\Documents and Settings\Regis59\Mes documents\scanner.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.orange.fr/portail
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.orange.fr/portail
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\PROGRA~1\Wanadoo\SEARCH~1.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {1a1ddc19-5893-43ab-a73f-f41a0f34d115} - C:\Program Files\Video ActiveX Object\isaddon.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: Protection Bar - {5d4831e0-5a7c-4a46-afd5-a79ab8ce36c2} - C:\Program Files\Video ActiveX Object\iesplugin.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [HPHUPD05] C:\Program Files\Hewlett-Packard\{D946675D-1D6C-4dc8-9E0D-B4B8EAA30EAA}\hphupd05.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\system32\hphmon05.exe
O4 - HKLM\..\Run: [WOOWATCH] C:\PROGRA~1\Wanadoo\Watch.exe
O4 - HKLM\..\Run: [WOOTASKBARICON] C:\PROGRA~1\Wanadoo\GestMaj.exe TaskBarIcon.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SsAAD.exe] C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WOOKIT] C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|DEFAULT=cnx|PARAM=
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Creative Detector] C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe /R
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Symantec Fax Starter Edition Port.lnk = C:\Program Files\Microsoft Office\Office\1036\OLFSNT40.EXE
O9 - Extra button: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
O9 - Extra 'Tools' menuitem: Messager Wanadoo - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\WANADO~1\Wanadoo Messager.exe
O9 - Extra button: Wanadoo - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_s(...)
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb(...)
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SolidWorks SolidNetWork License Manager - Macrovision Corporation - C:\flexlm\lmgrd.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Fichiers communs\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: Service de lancement de WlanCfg (Wlancfg) - Inventel - C:\Program Files\Inventel\Gateway\wlancfg.exe 


Exercice:

- Localiser l'infection en mettant les lignes néfastes en gras.
- Proposer une désinfection simple, rapide et très efficace. (le plus clairement possible).
- Relater d'autres suggestions concernant ce rapport.

Bon courage.

A+

^^Marie^^ · Answer

Slt

Il a été enregistré comment ce log ??

Regis59 · Answer

Salut Marie

Rapport généré en mode normal.

^^Marie^^ · Answer

Lui faire un petit coup de VundoFix.exe  serait pas mal aussi ;-)

Regis59 · Answer

Coucou Marie;

Quelle piste suis tu pour utiliser vundofix?
Peux tu m'identifier l'infection vundo?

Merci pour ton lancement ! :)

^^Marie^^ · Answer

A priori il manque la ligne 020

Donc faut la ressortir, avec ce qui suit


Télécharge VundoFix.exe (par Atribune) sur ton Bureau. 
http://www.atribune.org/ccount/click.php?id=4 

* Double-clique VundoFix.exe afin de le lancer. 
* Lorsque l'outil se lance à nouveau, clique sur le bouton Scan for Vundo 
* Clique sur le bouton Scan for Vundo. 
* Lorsque le scan est complété, clique sur le bouton Remove Vundo 
* Une invite te demandera si tu veux supprimer les fichiers, clique YES 
* Après avoir cliqué "Yes", le Bureau disparaîtra un moment lors de la suppression des fichiers. 
* Tu verras une invite qui t'annonce que ton PC va s'éteindre ("shutdown"); clique OK 
* Démarre ton PC à nouveau. 
* Copie/colle le contenu du rapport situé dans C:\vundofix.txt ainsi qu'un nouveau rapport HijackThis! dans ta prochaine réponse.


Bye

Regis59 · Answer

Et si la 020 n'existait tout simplement pas? LOL

Pour qu'il est vundo, il faut au moins une 02.
Vois tu au moins une 02 liée a Vundo?

A+

Xzr · Answer

Salut à tous, content que ce topic démarre !

pour le rapport  à analyser, je parviens pas à voir les lignes infectées, oui je manque d'entraînement ( d'où le topic :d)

Une question : A quoi sert sdfix ? comment repérer la nécessité de son lancement sur un log hijackthis? 

merci a+

Xzr · Answer

O2 - BHO: (no name) - {1a1ddc19-5893-43ab-a73f-f41a0f34d115} - C:\Program Files\Video ActiveX Object\isaddon.dll

O3 - Toolbar: Protection Bar - {5d4831e0-5a7c-4a46-afd5-a79ab8ce36c2} - C:\Program Files\Video ActiveX Object\iesplugin.dll

ces 2 lignes sont  néfastes. après avoir recherché sur le web, c'est par smitfraudfix que je pense régler le pb

ma solution :

faire lancer smitfraudfix : option 1, faire poster le rapport.

redémarrer en mode sans échec, option 2....

puis poster un noveau log hijackthis pour vérif.

Regis59 · Answer

Salut seb (grrrrrrrrr toi tu sais deja tout ca lol); Marie, Xzr.

L'infection est bien présente ici:

O2 - BHO: (no name) - {1a1ddc19-5893-43ab-a73f-f41a0f34d115} - C:\Program Files\Video ActiveX Object\isaddon.dll

O3 - Toolbar: Protection Bar - {5d4831e0-5a7c-4a46-afd5-a79ab8ce36c2} - C:\Program Files\Video ActiveX Object\iesplugin.dll

Et ici:

C:\Program Files\Video ActiveX Object\isamonitor.exe
C:\Program Files\Video ActiveX Object\pmsngr.exe

C:\Program Files\Video ActiveX Object\pmmon.exe
C:\Program Files\Video ActiveX Object\isamini.exe

Il est interressant de connaitre ce que Smitfraudfix détecte, voir le changelog ici:
http://siri.urz.free.fr/Fix/ChangeLog.php

Il est impératif de demander le rapport de l'option 1 avant de passer l'option 2 en MSE. Prkoi? Parce que Smitfraudfix (abrégé en SMF) permet de détecté quelques rootkits.

Pour SD-FIX, je te propose de consulter ceci afin de rechercher ou de savoir ce qu'il détecte/supprime:
Changelog >> http://downloads.andymanchesta.com/RemovalTools/SDFIX_README.TXT 

D'autres questions?

A+

^^Marie^^ · Answer

UP

^^Marie^^ · Answer

Il serait peut-être judicieux de déplacer ce topik dans le forum approprié, Non ???

Regis59 · Answer

Faut il un nouvel exercice?

Regis59 · Answer

J'ai demandé le déplacement dans virus/sécurité.

Entraînement Hijackthis

28 réponses

Discussions similaires

Newsletters